Pentest box系列——爬坑记

0x0 前言

本文作为一篇记录文章，将各种问题进行统合，以便省去使用时出现问题百度的时间！其中一些地方参照了各位大佬的姿势，而大部分为偶在使用中遇到的一些坑和偶的填补姿势。这里所遇问题基本偶都遇到，切可能因为环境不同大家不一定遇到，不过却在我这里成功解决才提供的方案！

相信在读这篇文章之前你一定对pentest box有所了解或者耳闻（这里姑且称之为盒子）。这里也简要说一下。

盒子：win平台上的kali，便携式开源渗透测试环境，少了对于虚拟机的依赖便于携带，集成了Linux上几乎所有的工具，可自由添加模块，x86、x64系统都支持。

官网地址：https://pentestbox.org/

笔者系统：win7 sp1 32位，安装位置U盘

开始正文，和kali一样盒子的工具比如nmap直接在命令行输入即可

0x1 更新

使用更新命令update,可获取到更新命令列表

看到11项更新命令，需要更新什么即键入相关命令即可比如更新web相关的工具键入命令：

Update webapplication

盒子会自动开始从github请求，坐等更新结束即可

针对update all偶同样进行了尝试，，发如果运行了这个命令，因为盒子本身有的工具和环境是老版本的，update all 命令会导致环境错误而工具无法使用！

0x2 安装

有时需求用到官方未安装的工具时可通过命令toolsmanager查看相关工具未安装目录是否存在所需工具

需要web工具在Enter Your Choice:这里键入10即可看到一份web下平台未安装工具列表

截取部分屏幕画面

需要安装那个键入install 工具名，即可

假如python需要安装第三方库BeautifulSoup4

freebuf上的表哥说键入命令：

python –m pip install BeautifulSoup4

在我的测试上发现这个方法并未成功

爆出错误未找到相关版本

之后偶在安装所需的一些py脚本所需库的时候同样爆出这个错误。

解决法子：在电脑上安装好python之后把所需库一并安装好，然后导入盒子base目录。这里就要岔出去讲一下关于python的问题了。

0x3 Python问题

暂时来说偶并没有遇到python出错啥的，唯一遇到过一次是因为电脑上只安装了py3.5导致sqlmap启动时候爆出环境错误的问题，不过也不用担心，只需要安装2.6即可。实际上并不是安装就没问题，有时候盒子会因为电脑环境而导致内环境受影响，很难受。

解决法子：电脑上安装了python27（偶的）以后将其拖入盒子base目录下

同时进入盒子config目录文本模式打开aliases键入命令

python27="%pentestbox_ROOT%\base\Python27\python.py"$*

保存即可

这时控制端输入python即可使用python27，为什么命令不是python27

貌似是会与盒子原本的py26环境产生冲突，我们进入代码之后它默认开启的是py27，盒子所存在26版本也会被更替为27

并不会影响使用。

说到导入后python命令，我就顺便补充一下安装外工具命令

针对ruby脚本使用以下命令（以wpscan做例子）

同理，针对ruby脚本使用以下命令（以wpscan做例子）

wpscan=ruby "%pentestbox_ROOT%\bin\customtools\wpscan\wpscan.rb"$*

可执行程序使用以下例子

tool="%pentestbox_ROOT%\bin\customtools\tool.exe"$*

java脚本使用以下例子

tool=start javaw -jar"%pentestbox_ROOT%\bin\customtools\tool.jar" $*

0x4 msf

msf只要用过盒子都知道msf一直以来都是问题最多的地方，bundler版本过低，ruby环境问题，都会导致msf无法运行偶在这里也没什么好办法，尝试过网上所说的msf主页下载新版然后替换和盒子原版，不过貌似最后效果不好，目前建议安装之后就不要去改动msf，初始值下msf可以成功运行。

关于msf升级啥的请移步：

https://www.t00ls.net/viewthread.php?tid=40424&highlight=pentestbox%2B

表哥貌似有办法，偶尝试依旧失败。

因为msf更新问题我们就不得不说一下另外一个问题。

0x5 http以及https源的问题

因为使用了update all 或者进行bundler更新尝试，你或许会遇到这样一个问题

可能有点模糊，偶把红字截取下来

Could not verify the SSL certificate forhttps://rubygems.org/. There is a chance you are experiencing aman-in-the-middle attack, but most likely your system doesn't have the CAcertificates needed for verification. For information about OpenSSL certificates, seehttp://bit.ly/ruby-ssl. To connect without using SSL, edit your Gemfilesources and change 'https' to 'http'.

意思就是你的证书有问题，即原本盒子默认的https证书，但是现在它无法使用。

解决法子：我们就需要将原本https的证书更替掉

gem sources -r https://rubygems.org/ ##移除默认源

gem sources -a http://rubygems.org/ ##新增源

或者将以上2条命令合并一下：

gem sources --add http://rubygems.org/--remove https://rubygems.org/

然后盒子会问你是否进行替换：y即可

gem sources -l ##查看源

gem update --system ##gem更新系统

gem update bundler ##更新bundler

再进行更新：

update all ##更新全部应用

可惜这样搞，msf依旧会出错，果然是个深坑！

0x6 工具nmap以及SQLmap的小问题以及burp更替

使用nmap我们键入命令比如

nmap –A xxx.xxx.xxx.xxx

爆出错误winpcap版本错误

应该是盒子原本就没这环境。

解决法子，我们去官网：http://winpcap.org下载一个安装即可

而Nmap的第二个问题（也不能说是只是nmap的，其它探测软件也会出现的问题）：由于我们的记录不够存而被杀掉

本应该从xxx.xxx.xxx.12开始的因为内容缓存不够，导致部分结果被杀掉直接跳到了xxx.xxx.xxx.42,

解决法子：这里我们打开盒子控制台win+alt+p

适当添加缓存高度即可

SQLmap的问题就比较奇葩了（U盘用户）

我们在运行SQLmap进行post注入之前假如我们运行了别的什么工具导致

U盘的目录处在H：\bin以及U盘其他目录下时，不注意的话直接运行sqlmap –r 1.txt会得到错误。

同样这个错误会出现在你盒子运行中，之后抓到包,保存桌面进行post时，这个时候的盒子并无法请求到你之后加载到桌面的1.txt文件

解决法子：如果是第一种情况只需要cd回到C盘即可

如果是第二种情况

将盒子进程关掉，重新打开即可。

BurpSuite的话，盒子内置版本的功能属于免费版的，并不好使，因此我们只需要将国内表哥的破解版替换进去即可。

0x7 乱码问题

盒子用上一段时间，亦可能因为系统环境问题，会出现中文重叠的情况

我输入了4个啦字，重叠在了一起，问题原因是，默认为输入英文格式，不过并不影响使用，kali有时候也会这样。不用担心。

临时解决法子：修改控制台间隔

取消对Monospace（间隔）的勾选，后面参数保持一致16/0/0

恢复正常。不过这也倒不影响使用。

目前为止遇到的坑暂时就这么多，其他遇到的今后在作补充。以上坑皆为偶亲自尝试过的。有不足之处，欢迎大家来一起交流讨论！